攻擊現(xiàn)狀及揭露實踐public

刪刪節(jié)瘦肉丁概念概念解什么是APT－什么是APT－已有定 DellAPT的APT的本質(zhì)－針對性攻 擇弱的非針對性的攻 不顧強弱的針對性攻 APT基于目高級高級、持續(xù)的來 針對性攻擊－元需非機會性的攻擊達成目標不取決目標的強弱，非對稱的優(yōu)勢0day暫時無能力上的優(yōu)勢，持續(xù)的跟蹤等待對手犯未及時修補的nday、持續(xù)挖掘的弱現(xiàn)狀現(xiàn)狀分CrowdStrike的CrowdStrike的獵已知APT活動最早活動時5020012004200520072008200920102011201220132014已知APT活動最早活動時5020012004200520072008200920102011201220132014LockheedMartin的KillChain偵察跟蹤ReconnaissanceLockheedMartin的KillChain偵察跟蹤Reconnaissance武器構(gòu)建WeaponizationLMKillChain—突防利用ExploitationLMKillChain—突防利用Exploitation安裝植入（Installation通信控制（CommandandControlAPT的漏洞利用-APT的漏洞利用-常用常用漏洞細 MicrosoftVisualBasicWindowsCommonControls MicrosoftRTFoverridetable結(jié)構(gòu)內(nèi)存越界漏 MicrosoftRTFDrawing對象溢出漏 可穩(wěn)定利用的緩沖區(qū)溢出漏洞，利用方式與CVE-2012-0158類 OracleJavaSECVE-2012-1723遠程代碼執(zhí)行漏 MicrosoftIECButton釋放后重用漏洞 OracleJava2D組件遠程代碼執(zhí)行漏 穩(wěn)定利用的漏洞可用于水坑攻APTAPT攻擊的進入方式- 魚叉郵件（Spear 惡意附件：Office、PDF文檔漏洞的利用、欺騙性的可執(zhí) 釣魚網(wǎng)站的鏈接：IE、Flash、Java漏洞的利用，騙取認 通過Web服務(wù)的漏洞利用：IE、Flash、Java漏 合法軟件捆綁木 偽應(yīng)用程序升級更新 漏洞利用，物理接觸，高度定 第一個被發(fā)現(xiàn)用來對第一個被發(fā)現(xiàn)用來對非常高端，使用了40day漏 RedRedDarkDark 銀行的破壞性APT 活動時間為20092013在最終破壞之前已經(jīng) 歸屬分析定位到 來自印度的APT活 惡意代碼高度復(fù)雜，攻擊政府、科研和大EnergeticEnergetic CrouchingYeti 主要涉及能源行 與RedOctober組織有相似性，可能同一組 注冊了大量CC域影響1004000影響10040002005方程方程 極端的隱秘和龐 已知的U 已知最早活動時2001 揭露揭露實分析分析揭露的關(guān)鍵環(huán)線索線索獲來來關(guān)注APT線索線索識 很多時候樣本就在那兒，就看有沒有能力識線索線索篩線線索篩查沙箱沙箱行為分關(guān)聯(lián)關(guān)聯(lián)分關(guān)聯(lián)關(guān)聯(lián)分析-關(guān)聯(lián)關(guān)聯(lián)分析-基于KillChain的關(guān)聯(lián)Actionson特定互惡意代初始啟域名注社會工持續(xù)啟域名使加解密偽裝正域名命特定功UIP所在對抗分基于KillChain的關(guān)聯(lián)Actionson特定互惡意代初始啟域名注社會工持續(xù)啟域名使加解密偽裝正域名命特定功UIP所在對抗分源碼工特定數(shù)語言編特定數(shù)字簽組件組SSL證特別的Chain上的Chain上的關(guān)聯(lián)實 （Lockheed基于程基于程序流程的關(guān) 相隔一年多編譯的兩個樣本NSTAR和HTTPTroy，幾乎基于字串相似的關(guān) 基于字串相似的關(guān) Hangover2與基于基于相同Key的關(guān) Dark基于基于組件組織架構(gòu)的關(guān) Duqu和歸屬歸屬分檢查檢查 樣本來源、指向目 Whois記 語言配臵和使 工作時 反制和漏洞利 工具使Whois記Whois記 語言配語言配置和使 TheDeser